Datalagringens framtid

Som vi tidigare rapporterat i Lov&Data beslutade EU-domstolen i december 2016 att medlemsstaterna inte får ålägga leverantörer av elektroniska kommunikationstjänster en generell och odifferentierad skyldighet att lagra trafik- och lokaliseringsuppgifter. Nationell lagstiftning som kräver en riktad datalagring i syfte bekämpa grov brottslighet kan dock vara tillåten om den är strikt proportionerlig. Myndigheters tillgång till de lagrade uppgifterna måste begränsas genom strikta materiella och processuella regler (C-203/15 och C-698/15).

I Sverige möttes EU-domstolens dom med stor förvåning och av skarp kritik, bl.a. från företrädare för polis och åklagare. Tele- och internetoperatörer anklagades för den uppkomna situationen och uppmanades t.o.m. att agera rättsstridigt genom att fortsätta med en ”frivillig” datalagring.

Men för den som följt den europiska rättsutvecklingen på dataskyddsområdet kommer domen knappast som en överraskning. Redan i en dom 2014 ogiltigförklarade EU-domstolen det s.k. datalagringsdirektivet (C-293/12 och C-594/12). Centralt för domstolens resonemang var att generell lagring av trafikdata utgör ett synnerligen allvarligt ingrepp i den enskildes privatliv och skydd för personuppgifter, bl.a. eftersom de lagrade uppgifterna möjliggör att mycket precisa slutsatser om deras liv kan dras. Detta trots att själva innehållet i kommunikation inte lagras. Ett krav på generell och odifferentierad lagring klarar inte kravet på att ett ingrepp måste vara strikt proportionerligt.

Att redan själva lagringen av känsliga personuppgifter eller stora mängder uppgifter om en persons – inte bara användningen av uppgifterna – ses som ett allvarligt ingrepp i den enskildes rättigheter ligger i linje med det synsätt som ligger till grund för dataskyddslagstiftningen. Synsättet kommer också till uttryck i artikel 8 i EU:s rättighetsstadga.

Jag har svårt att se att staten skulle komma på tanken att kräva att privata aktörer skulle utför en så omfattande lagring av personuppgifter på något annat område. En praktisk förklaring till att vi fick en så omfattande datalagringsskyldighet just för elektronisk kommunikation är säkerligen att metadata uppkommer mer eller mindre automatiskt. Men för den integritetsrättsliga bedömningen är detta inte relevant.

EU-domstolens ogiltigförklarande av datalagringsdirektivet borde redan 2014 ha föranlett en mer grundläggande omprövning av det svenska datalagringssystemet. Den utredning som då tillsattes inriktades på att den generella och heltäckande lagringsskyldigheten skulle behållas och att andra integritetsskyddande åtgärder istället skulle vidtas (SOU 2015:31). Efter den senaste domen måste frågan nu återigen snabbutredas (dir. 2017:16).

Det råder ingen tvekan om att lagring av trafikdata är utgör ett värdefullt, och i viss utsträckning nödvändigt, redskap i kampen mot brott. EU-domstolens domar utesluter heller inte en riktad datalagring. Exempelvis kan en lagringsskyldighet som avser kommunikation i ett särskilt brottsutsatt område eller som avser abonnemang som har någon form av koppling till en brottsmisstänkt person vara proportionerlig.

Det är klart att en riktad datalagringsskyldighet i många fall kan bli mer kostsam och mer krävande för såväl det allmänna som för operatörerna. Det är också klart att en riktad lagring inte kommer att ge brottsutredande myndigheter lika stor tillgång till data om medborgarnas kommunikation och rörelse i samhället. Men arbetet med att ta fram sådana lösningar är som sagt nödvändigt för att säkerställa ett grundläggande rättighetsskydd för medborgarna.

Ett krav på odifferentierad lagring av en viss typ av uppgift menar jag är förenligt med EU-domstolens praxis. Det handlar om uppgiften om vilken abonnent som tilldelats en viss ip-adress vid ett visst tillfälle. Utan tillgång till denna uppgift kan spårning på nätet sällan ske. Det kan därför t.o.m. hävdas att ett sådant lagringskrav är nödvändigt för att medlemsstaterna ska kunna skydda medborgarnas grundläggande rättigheter i en nätmiljö (jfr Europadomstolens dom i K.U. v. Finland, 2 december 2008).

(Publicerad i Lov&Data nr 130, juni 2017, s. 2)